Ago 30, 2019 Marco Schiaffino In evidenza, News, Prodotto, RSS, Scenario 0

L’azienda ha deciso di dare un giro di vite e retribuire i ricercatori che trovano bug nelle applicazioni Android con più di 100 milioni di installazioni.

Il rapporto tra gestori degli store per applicazioni mobili e sviluppatori, nel settore della sicurezza, sono sempre stati piuttosto conflittuali. In sintesi, li si potrebbe definire così: il ruolo dei gestori, di solito, è quello del “cane da guardia”: se l’app non è sicura, viene buttata fuori dallo store.

Un’impostazione che siamo abituati a considerare logica e che scarica tutta la responsabilità di individuare eventuali vulnerabilità ai produttori di app.

Ora sembra che le cose stiano cambiando, per lo meno per quanto riguarda il mondo Android. La notizia, infatti, è che Google avrebbe deciso di avviare un programma di bug bounty che “premia” i ricercatori che individuano falle di sicurezza nelle applicazioni più popolari, individuate come quelle che hanno più di 100 milioni di download sul suo Google Play.

L’annuncio dell’iniziativa, pubblicato su questa pagina Internet, cambia radicalmente lo scenario ed estende la responsabilità di Google a un ambito che fino a questo momento veniva considerato completamente estraneo.

La mossa, a ben vedere, a una sua logica che si sviluppa a partire da tre considerazioni. Primo: un attacco che colpisce milioni di utenti Android rischia di danneggiare la reputazione di Google molto più di quanto possa danneggiare lo sviluppatore.

Secondo: l’idea per cui un’applicazione molto popolare ha necessariamente alle spalle una società molto strutturata e quindi in grado di gestire un proprio progetto di bug bounty (come Facebook e soci) si può considerare ormai un’illusione.

Ci sono casi, come quello di CamScanner di cui abbiamo parlato un paio di giorni fa, in cui sviluppatori relativamente piccoli riescono a pescare il jolly e ottenere un notevole numero di installazioni. D’altra parte, secondo Google ci sarebbero in circolazione più di 2,5 miliardi di dispositivi Android. Per avere milioni di utenti non serve essere Mark Zuckerberg.

In definitiva possiamo dire che si tratti di una buona notizia. Chissà che non possa influenzare anche altri produttori (difficile che accada con Apple) e che l’iniziativa di Google non possa cambiare qualcosa e avviare la nascita di un sistema di bug bounty “solidale” nel settore dei produttori di software.